Publicerad
Sammanfattning: Kostnaden för att bli certifierad enligt ISO 27001 har fyra delar: konsultstödet, en objektiv internrevision, certifieringsorganets avgifter och er egen tid. Konsultstödet kan vara allt från några timmar i veckan i snitt, när ni gör mycket själva, till flera dagar i veckan. Mer konsulttid är inte alltid bättre: ett ledningssystem fungerar bara om verksamheten själv bär införandet, så vi siktar på den nivå där stödet gör mest nytta. Vårt normala timpris är 800–1 600 kronor exklusive moms, och gap-analysen som är första steget kostar från cirka 25 000 kronor exklusive moms.
Fyra kostnadsposter
Konsultstöd
Gap-analys, riskmetod och riskarbete, styrdokument och Statement of Applicability, stöd vid införandet och förberedelse inför certifieringsrevisionen. Insatsen varierar mer än något annat: från några timmar i veckan i snitt, när er organisation gör mycket av arbetet själv, till flera dagar i veckan när ni behöver någon som driver arbetet.
Det finns en gräns för hur mycket konsulttid som hjälper. Rutiner, ansvar och kontroller måste införas av verksamheten själv, och ett ledningssystem som byggts åt er utan att ni varit med håller sällan vid revisionen eller efter den. Därför försöker vi hitta den nivå där konsultstödet gör mest nytta, och inte mer.
Internrevision
Inför Stage 2 och certifieringsbeslutet behöver organisationen ha genomfört sitt interna revisionsprogram och ledningens genomgång, så att ledningssystemet går att visa som implementerat och fungerande. Internrevisionen ska genomföras med tillräcklig objektivitet och opartiskhet: revisorn ska inte granska sitt eget arbete. Den kan genomföras av en kompetent person internt som inte varit involverad i det som revideras, av en annan oberoende konsult eller av en extern revisionsresurs. Räkna också med tid för att åtgärda det revisionen hittar.
Certifieringsorganet
För en ackrediterad certifiering väljer ni ett certifieringsorgan som är ackrediterat för ISO 27001, i Sverige av Swedac eller genom ett motsvarande internationellt erkänt ackrediteringsorgan. Revisionstiden, och därmed priset, beräknas enligt särskilda regler för ISO 27001-certifiering i ISO/IEC 27006-1. Antalet personer inom ledningssystemets omfattning är en viktig utgångspunkt, men tiden påverkas även av bland annat verksamhetens komplexitet, teknikmiljö, outsourcing, antal verksamhetsställen och kontrollmiljön. Efter certifieringen kommer en uppföljningsrevision varje år, som tar ungefär en tredjedel av den ursprungliga revisionstiden, och en omcertifiering det tredje året, som tar ungefär två tredjedelar. Be om offert från två eller tre organ och jämför vad som ingår.
Er egen tid
Ledningen, processägare, IT och de som ska arbeta enligt de nya rutinerna. Det är ofta den största posten och den som sällan syns i en offert. Det är också den investering som gör att ledningssystemet fungerar efter certifieringen.
Vad som driver kostnaden
- Omfattningen: hur många verksamheter, orter, tjänster och system som ingår.
- Mognaden: hur mycket som redan finns, till exempel styrdokument, riskarbete eller arbete inför cybersäkerhetslagen.
- Storlek och komplexitet, som också styr tidplanen.
- Egen kapacitet: hur mycket ni kan göra själva.
- Tidplanen: en pressad tidplan kräver mer konsulttid per vecka.
Åtgärder som gap- och riskarbetet identifierar
Själva ISO-arbetet kan visa att verksamheten behöver göra investeringar som inte är kostnader för certifieringen i sig. Det kan till exempel vara flerfaktorsautentisering, central loggning, säkerhetskopiering, nätverksförändringar, sårbarhetshantering, nya verktyg eller förändringar hos leverantörer.
De kostnaderna varierar kraftigt mellan organisationer och bör hållas isär från konsult- och certifieringskostnaden. Det är också förklaringen till att ett bolag kan komma billigt till certifiering medan ett annat behöver göra betydande tekniska investeringar på vägen.
Det här brukar ligga utanför
- Verktyg och licenser, till exempel ett system för att förvalta ledningssystemet.
- Utbildning av medarbetare utöver det som ingår i införandet.
Så håller ni nere kostnaden
- Avgränsa omfattningen klokt, men inte så smalt att certifikatet inte svarar på det kunderna frågar efter.
- Börja med en gap-analys, så att arbetet görs i rätt ordning. Vad den kostar beskriver vi i Vad kostar en gapanalys mot ISO 27001 och cybersäkerhetslagen?.
- Återanvänd det ni har: befintliga styrdokument, riskanalyser och rutiner.
- Bygg samtidigt för cybersäkerhetslagen om den gäller er, så att ett ledningssystem svarar på båda.
- Utse en intern ägare som driver arbetet mellan konsulttillfällena.
Tiden påverkar kostnaden
Konsultstöd och egen tid fördelas över hela perioden, så tidplanen och kostnaden hänger ihop. Det beror framför allt på organisationens storlek och komplexitet. Standarden anger ingen tidplan, men vår erfarenhet är att en mindre organisation i bästa fall kan vara klar inom tolv månader, en medelstor eller mer komplex organisation behöver tolv till tjugofyra månader och en större oftast tjugofyra till trettiosex månader. Den oberoende internrevisionen, åtgärderna och certifieringsrevisionen kommer utöver det. En verksamhet som redan har fungerande riskarbete, tydliga ansvar, etablerade säkerhetskontroller och tillgängliga interna resurser hamnar närmare den kortare änden. Inom de ramarna påverkas tidplanen framför allt av:
- hur mycket som redan finns på plats,
- ledningssystemets omfattning,
- hur många organisatoriska och tekniska förändringar som krävs,
- hur mycket egen tid verksamheten kan avsätta,
- hur snabbt identifierade gap kan åtgärdas,
- tillgängliga tider hos valt certifieringsorgan.
Vi sätter därför den första realistiska tidplanen efter gap-analysen, när det går att se vad som faktiskt behöver göras. Stegen beskriver vi under ISO 27001 från gap-analys till certifiering.
Vanliga frågor
Kan vi certifiera oss utan konsult?
Ja. Standarden kräver ingen konsult, och organisationer med egen kompetens gör ofta det mesta själva. Konsultstöd gör mest nytta där erfarenheten saknas, till exempel i riskmetoden, i Statement of Applicability och i förberedelsen inför revisionen.
Vad kostar det efter certifieringen?
Uppföljningsrevisionerna varje år och omcertifieringen det tredje året, och det interna arbetet med att förvalta ledningssystemet. Riskarbete, internrevision, ledningens genomgång och uppföljning fortsätter enligt organisationens planerade intervall. Många organisationer bygger förvaltningen kring en årlig huvudcykel.
Varför kan ni inte ge ett fast pris direkt?
Priset beror på omfattning, mognad och hur mycket ni gör själva. Efter gap-analysen vet vi det, och då kan vi lämna ett uppskattat kostnadsförslag och om möjligt ett fast pris för nästa steg.
Ingår certifieringsorganets avgift?
Nej. Certifieringsrevisionen utförs av ett oberoende certifieringsorgan och faktureras av dem.
Vill ni veta vad ISO 27001 skulle kräva hos er? Läs mer om vårt arbete med informationssäkerhet och styrning eller kontakta oss.
Priserna i texten är vår normala prisnivå vid publiceringen och ersätter inte ett kostnadsförslag. Källor: ISO/IEC 27001 · ISO/IEC 27006-1:2024 om revisionstid för ISMS-certifiering · Swedac: ackreditering. Verifierat 2026-10-02.
Den här texten är allmän information och inte juridisk rådgivning.